Voltar ao início

Segurança e conformidade

Arquitetura, localização dos dados e controlos de segurança que adotamos para proteger os seus conteúdos, as vozes clonadas e os dados de pagamento.

HTTPS/TLS em trânsito
Encriptação de dados em repouso segundo as medidas dos fornecedores de infraestrutura
Infraestrutura cloud gerida
Registos de auditoria de segurança

Localização dos dados e infraestrutura

  • Database Supabase Postgres, de acordo com a configuração do projeto e as medidas técnicas e organizativas do fornecedor.
  • CDN Cloudflare. O tráfego é servido através de HTTPS; as eventuais proteções de rede dependem da configuração do serviço.
  • Backend API Railway, de acordo com a configuração do serviço.
  • Object storage (R2) Cloudflare R2, de acordo com a configuração do serviço e as medidas de segurança do fornecedor.
  • Pagamentos Stripe — PCI-DSS Level 1. Nenhum número de cartão transita pelos nossos sistemas nem é armazenado neles.

Identidade e autenticação

  • Palavras-passe com hash bcrypt (fator de custo 12).
  • OTP de 6 dígitos por e-mail para registo e reposição da palavra-passe.
  • Token de sessão httpOnly + Secure + SameSite=None (necessário para utilização entre origens da aplicação e da API).
  • Início de sessão com Google; está disponível uma configuração SSO SAML 2.0 para o nível Enterprise.

Proteção de dados biométricos (voz)

  • A amostra de voz em bruto é um dado pessoal. As características vocais processadas e o modelo de voz derivado são igualmente dados pessoais e podem constituir dados biométricos nos termos do art. 9 do GDPR quando resultam de um tratamento técnico específico destinado a identificar de forma inequívoca uma pessoa (identificação/autenticação por voz). A clonagem/síntese de voz que oferecemos não tem por finalidade identificar o utilizador de forma inequívoca, mas adotamos, ainda assim, a título de precaução, as mesmas garantias previstas para os dados biométricos — ver Biometric Data Policy.
  • Consentimento eletrónico registado (texto, versão, IP, data e hora).
  • Cross-language gate — a síntese é bloqueada em qualquer idioma não explicitamente autorizado pelo utilizador no momento do registo da voz. As tentativas não autorizadas geram um safety_event do tipo consent_violation.
  • Destruição antecipada quando a finalidade deixa de existir, em caso de revogação do consentimento ou de eliminação do perfil; limite máximo interno atual de 1095 dias a contar do consentimento (ver Biometric Data Policy). Revogação e eliminação a pedido.

Registos de auditoria de segurança

  • Eventos de segurança selecionados (por exemplo, acessos, gestão da conta, acessos SSO e ações administrativas) são registados na tabela audit_events com IP, user-agent e carimbo de data/hora UTC.
  • Exportação CSV disponível no painel de administração (perfil admin).
  • A própria exportação é auditada (ação admin.audit_exported).

Monitorização e resposta a incidentes

  • Os registos de aplicações e de infraestrutura são geridos através dos serviços dos fornecedores de alojamento.
  • Webhooks da Stripe assinados (HMAC SHA-256) — os payloads não assinados são rejeitados.
  • Em caso de violação de dados pessoais que represente um risco para os direitos e liberdades das pessoas, a autoridade de controlo é notificada sem demora injustificada e, sempre que possível, no prazo de 72 horas após o conhecimento da violação; os titulares dos dados são informados nos casos previstos (GDPR arts. 33-34).

Estado de conformidade

GDPR (UE 2016/679)
Em fase de alinhamento
CCPA / CPRA (California)
Em fase de alinhamento
BIPA (Illinois — biometric)
Em fase de alinhamento
DMCA (US Title 17)
Procedimento por e-mail — em consolidação

Contactos de segurança

Incidentes de segurança: security@fynqcast.com

Privacidade: privacy@fynqcast.com

DMCA: dmca@fynqcast.com